회사가 새로운 매장을 열고 있습니다. 각 매장의 출시일에 회사는 해당 매장에 맞는 맞춤형 웹 애플리케이션을 배포하려고 합니다. 각 매장은 자체 AWS 계정에 별도의 비프로덕션 및 프로덕션 환경을 갖게 됩니다. 회사는 AWS Organizations를 사용하며 이러한 계정 전용 OU를 가지고 있습니다. 타사 개발 팀이 대부분의 개발 작업을 수행할 것입니다. 보안 엔지니어는 팀이 회사의 AWS 리소스 배포 계획을 따르도록 해야 하며, 필요한 개발자에게만 계획에 대한 액세스를 제한해야 합니다. 배포 계획을 구현하는 CloudFormation 템플릿은 이미 존재합니다. 이러한 요구 사항을 가장 안전하게 충족하기 위해 보안 엔지니어가 다음으로 수행해야 할 작업은 무엇입니까?

정답은 AWS Service Catalog를 사용하여 CloudFormation 템플릿 배포를 중앙에서 관리하고 제어하는 것입니다. 관리 계정에 Service Catalog 포트폴리오를 생성하고 CloudFormation 템플릿을 제품으로 추가한 다음 OU와 공유하면, 각 매장 계정의 개발자는 승인된 템플릿만 사용하여 리소스를 프로비저닝할 수 있습니다. 이는 일관된 배포를 보장하고, 필요한 개발자에게만 접근을 제한하며, 보안 표준을 준수하게 합니다. 오답인 CloudFormation CLI를 사용하여 모듈을 생성하고 레지스트리에 등록하는 옵션은 배포 제어 및 접근 제한 요구 사항을 충족하지 못합니다. SCP는 권한을 제한할 수 있지만, 승인된 템플릿 사용을 강제하지는 않습니다. 다른 Service Catalog 옵션은 교차 계정 IAM 역할을 수동으로 생성해야 하므로 관리 오버헤드가 증가하고, Service Catalog의 공유 기능을 충분히 활용하지 못합니다.